Wie IT-(Un-)Sicherheit funktioniert …

ist sehr schön an dem Newsartikel “Angreifer können Liste besuchter Webseiten auslesen” nachzuvollziehen.

Vorab ein wenig Hintergrundwissen:
Jeder Web-Browser kennt für die in Web-Seiten enthaltenen Links verschiedene Darstellungszustände. So läßt sich beispielsweise die Farbe des Linktextes ändern oder eine Grafik austauschen, wenn der Mauszeiger darüber positioniert wird. Insbesondere werden im Normalfall für den Benutzer bereits besuchte Hyperlinks farblich anders dargestellt, als noch nicht besuchte. Der Benutzer erkennt so einfacher, wo er schon gewesen ist, und was noch neu ist.

Genau diese Funktion (eigentlich eine Verbesserung des Benutzerkompforts) lässt sich jedoch auch mit geeigneten Mitteln von Dritten missbrauchen: Die Formatierung aller Hyperlinks kann über spezielle Formatbeschreibungsdateien (Stylesheets / CSS) konfiguriert werden; unter anderem auch so, dass eine “spezielle” Grafik angezeigt wird, wenn ein bestimmter Hyperlink schon von dem Benutzer besucht worden war…

Wenn ich also wissen möchte, ob ein Benutzer schon auf einer bestimmten Seite gewesen ist, baue ich einfach einen Link auf diese Website in mein Dokument ein und konfiguriere die Darstellung dieses Links so, dass dieser durch eine Grafik “verziert” wird, wenn der Benutzer sie schon einmal aufgerufen hat. Öffnet ein Benutzer meine Website mit dem Hyperlink, von dem ich wissen möchte, ob der Besucher diesen schon einmal aufgerufen hat, so kann ich anhand des Ladens oder Nicht-Ladens der zugehörigen Grafik feststellen, wie dieser Link beim Besucher dargestellt wird: Als “Besucht” oder “Noch Jungfräulich”

Eingesetzt werden könnte ein solcher Angriff auf die Privatsphäre unter anderem um unter den Besucher Kunden einer bestimmten Online-Bank zu identifizieren, für die es gerade eine Möglichkeit gibt durch geeignete Manipulationen Kundenkonten zu “übernehmen” (Stichworte Phishing / Cross Site Scripting etc.). Wenn ich weiss, dass der Benutzer diese Online-Banking Seite aufgesucht hat, ist die Wahrscheinlichkeit groß, dass er dort Kunde ist. Es lohnt sich also diesen Besucher als Opfer für einen Angriff auszuwählen

Natürlich kann ich als normaler Websitebetreiber so auch einfach herausfinden, ob mein Besucher zuvor “der Konkurrenz” einen Besuch abgestattet hat – usw.

Was zeigt nun dieses Beispiel aus dem realen IT-Sicherheitsleben??

Ohne Paranoidität ist IT-Sicherheit kaum umzusetzen
Im hier diskutierten Beispiel würde es beispielsweise helfen, die “Browser-History” nach jeder Benutzung des Web-Browsers – am Besten sogar direkt nach dem Aufruf einer Website, vor dem Aufruf einer neuen Website, zu löschen. Die Nachteile liegen auf der Hand: ich muss meinen Arbeitskompfort (die Anzeige was ich schon angesehen habe und was noch nicht) aufgeben, um meine Sicherheit geringfügig?? zu erhöhen. Und das Ganze bei einem real betrachtet doch vermutlich sehr kleinem Verlust an Privatsphäre – aber wie immer gilt: Wenn ich betroffen bin (irgendwer müssen ja die 1-2?? Prozent der Benutzer sein, die geschädigt werden) sieht die Sache anders aus…

Genereller betrachtet muss ich als Benutzer immer Kosten und Nutzen gegenüberstellen und dann für mich selbst bewerten, wie das Kosten-Nutzen-Verhältnis aussieht. Wichtig ist aber – und das ist nach wie vor das Ziel dieser Website – ein Bewußtsein für die existierenden Sicherheitsrisiken zu entwickeln. Sich klar zu machen, dass potentiell alles – auch wenn es auf den ersten Blick mehr als exotisch wirkt – auf die eine oder andere Art gegen einen verwendet werden kann. Insbesondere, wenn man sich vor Augen führt, dass das WWW und die entsprechenden Web-Browser schon seit diversen Jahren existieren und erst jetzt über dieses “Sicherheitsleck” berichtet wird, sollte einem klar werden, dass es sich hier nicht um einen Einzelfall handelt, sondern noch eine Vielzahl ähnlich gelagerter Probleme bestehen.

Eine ähnliche Problematik hinsichtlich der von mir besuchten Seiten, die sich m.E. viel dramatischer auf meine Privatsphäre auswirkt, stellen die beispielsweise von Google verwalteten Anzeigen dar, die auf allen Websites eingeblendet werden …

Warum? ->Selbst ist der Mensch Mehr zu dieser Problematik ein anderes Mal.

No Comments

No comments yet.

RSS feed for comments on this post. TrackBack URI

Leave a comment

You must be logged in to post a comment.